CA3009: проверка кода уязвимостей внедрения XML

Статья
07/21/2023

Свойство	Значение
Идентификатор правила	CA3009
Заголовок	Проверьте код на наличие уязвимостей к внедрению кода XML
Категория	Безопасность
Исправление является критическим или не критическим	Не критическое
Включен по умолчанию в .NET 8	No

Причина

Потенциально ненадежные входные данные HTTP-запроса попадают в необработанные выходные данные XML.

По умолчанию это правило анализирует всю базу кода, но такое поведение можно настроить.

Описание правила

При работе с ненадежными входными данными следует учитывать вероятность атак путем внедрения кода XML. Злоумышленник может использовать внедрение кода XML для вставки специальных знаков в XML-документ, нарушая допустимость этого XML-документа. Также злоумышленник может добавлять произвольные XML-узлы в злонамеренных целях.

Это правило пытается найти все места, где входные данные из HTTP-запросов могут попасть в необработанные данные XML для записи.

Примечание.

Это правило не отслеживает передачу данных между разными сборками. Например, если одна сборка считывает входные данные HTTP-запроса и передает результаты другой сборке, которая выполняет запись в необработанный XML, это правило не создаст предупреждение.

Примечание.

Можно указать, насколько глубоко это правило будет анализировать поток данных между вызовами методов. Сведения о настройке этого ограничения в файле EditorConfig см. на странице, посвященной конфигурации анализатора.

Устранение нарушений

Чтобы устранить нарушение, используйте один из следующих методов:

Не записывайте необработанные данные XML. Вместо этого используйте методы или свойства, которые кодируют выходные данные в безопасный для XML формат.
Входные данные в формате XML перед записью необработанного XML-кода.
Проверьте входные данные пользователя с помощью санитизаторов для преобразования примитивных типов и кодирования XML.

Когда лучше отключить предупреждения

Не отключайте предупреждения, создаваемые этим правилом.

Примеры псевдокода

Нарушение

В этом примере входные данные задаются свойством InnerXml корневого элемента. Учитывая входные данные, содержащие допустимый XML, злоумышленник может полностью изменить документ. Обратите внимание, что alice пользователь больше не разрешен после добавления входных данных пользователя в документ.

protected void Page_Load(object sender, EventArgs e)
{
    XmlDocument d = new XmlDocument();
    XmlElement root = d.CreateElement("root");
    d.AppendChild(root);

    XmlElement allowedUser = d.CreateElement("allowedUser");
    root.AppendChild(allowedUser);
    allowedUser.InnerXml = "alice";

    string input = Request.Form["in"];
    root.InnerXml = input;
}

Sub Page_Load(sender As Object, e As EventArgs)
    Dim d As XmlDocument = New XmlDocument()
    Dim root As XmlElement = d.CreateElement("root")
    d.AppendChild(root)

    Dim allowedUser As XmlElement = d.CreateElement("allowedUser")
    root.AppendChild(allowedUser)
    allowedUser.InnerXml = "alice"

    Dim input As String = Request.Form("in")
    root.InnerXml = input
End Sub

Если злоумышленник использует это для ввода: some text<allowedUser>oscar</allowedUser>xml-документ будет следующим:

<root>some text<allowedUser>oscar</allowedUser>
</root>

Решение

Чтобы устранить это нарушение, задайте входные данные свойству InnerText корневого элемента вместо InnerXml свойства.

protected void Page_Load(object sender, EventArgs e)
{
    XmlDocument d = new XmlDocument();
    XmlElement root = d.CreateElement("root");
    d.AppendChild(root);

    XmlElement allowedUser = d.CreateElement("allowedUser");
    root.AppendChild(allowedUser);
    allowedUser.InnerText = "alice";

    string input = Request.Form["in"];
    root.InnerText = input;
}

Sub Page_Load(sender As Object, e As EventArgs)
    Dim d As XmlDocument = New XmlDocument()
    Dim root As XmlElement = d.CreateElement("root")
    d.AppendChild(root)

    Dim allowedUser As XmlElement = d.CreateElement("allowedUser")
    root.AppendChild(allowedUser)
    allowedUser.InnerText = "alice"

    Dim input As String = Request.Form("in")
    root.InnerText = input
End Sub

Если злоумышленник использует это для ввода: some text<allowedUser>oscar</allowedUser>xml-документ будет следующим:

<root>some text&lt;allowedUser&gt;oscar&lt;/allowedUser&gt;
<allowedUser>alice</allowedUser>
</root>

Настройка кода для анализа

Используйте следующие параметры, чтобы указать части базы кода, к которым будет применяться это правило.

Исключить определенные символы
Исключить определенные типы и их производные типы

Эти параметры можно настроить только для этого правила, для всех правил, к которым она применяется, или для всех правил в этой категории (безопасности), к которым она применяется. Дополнительные сведения см. в статье Параметры конфигурации правила качества кода.

Исключение определенных символов

Вы можете исключить из анализа определенные символы, например типы и методы. Например, чтобы указать, что правило не должно выполняться для какого-либо кода в типах с именем MyType, добавьте следующую пару "ключ-значение" в файл EDITORCONFIG в своем проекте:

dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType

Допустимые форматы имени символа в значении параметра (разделенные |):

Только имя символа (включает все символы с этим именем, любого типа и в любом пространстве имен).
Полные имена в формате идентификатора документации для символа. Для каждого имени символа требуется префикс в виде символа, например M: для методов, T: для типов и N: для пространств имен.
.ctor используется для конструкторов, а .cctor — для статических конструкторов.

Примеры:

Значение параметра	Итоги
`dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType`	Соответствует всем символам с именем `MyType`.
`dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType1\|MyType2`	Соответствует всем символам с именем `MyType1` или `MyType2`.
`dotnet_code_quality.CAXXXX.excluded_symbol_names = M:NS.MyType.MyMethod(ParamType)`	Соответствует конкретному методу `MyMethod` с заданной полной сигнатурой.
`dotnet_code_quality.CAXXXX.excluded_symbol_names = M:NS1.MyType1.MyMethod1(ParamType)\|M:NS2.MyType2.MyMethod2(ParamType)`	Соответствует конкретным методам `MyMethod1` и `MyMethod2` с соответствующими полными сигнатурами.

Исключить определенные типы и их производные типы

Из анализа можно исключать определенные типы и их производные типы. Например, чтобы указать, что правило не должно выполняться в каких-либо методах типов MyType и их производных типов, добавьте следующую пару "ключ-значение" в файл .editorconfig своего проекта:

dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType